Google Dorks: was Google findet, das niemand zeigen wollte

Wer von Google Dorks zum ersten Mal hört, stellt sich meist etwas Geheimes vor, ein Werkzeug aus dem Hinterzimmer. Dabei ist es nur Google, dieselbe Suchmaske wie immer, mit ein paar zusätzlichen Befehlen davor. Mit site: suchst du auf einer einzigen Website, mit filetype:pdf nur nach PDF-Dateien, mit Anführungszeichen nach einer exakten Wortfolge. Das steht alles in Googles eigener Hilfe.

Trotzdem hat diese Technik einen Ruf, der nach Einbruch klingt. Der Grund ist einfach: Google indexiert, was offen herumliegt, und offen herum liegt mehr, als die meisten Betreiber ahnen. Mitgliederlisten im Download-Ordner eines Vereins. Bewerbungsunterlagen auf einem vergessenen Server. Die Steuerung eines kleinen Staudamms im Bundesstaat New York.

In diesem Text geht es um die Frage, was ein paar Suchbefehle ans Licht holen und warum genau dieselben Befehle das beste Werkzeug sind, um nachzusehen, was über dich, deine Firma oder deinen Verein im Netz steht.

Was Google Dorks eigentlich sind

Eine normale Suche ist eine Bitte. Du tippst ein paar Wörter, und Google entscheidet, was dazu passt, ergänzt Synonyme, korrigiert Tippfehler und sortiert nach eigenem Gutdünken. Mit Suchoperatoren wird aus der Bitte eine Anweisung. Du legst fest, wo gesucht wird, in welchem Format und an welcher Stelle einer Seite das Wort stehen muss.

Den Namen “Dork” hat die Sicherheitsszene geprägt. Im Dezember 2002 begann der Sicherheitsforscher Johnny Long, Suchanfragen zu sammeln, die verwundbare Systeme oder versehentlich veröffentlichte Daten zutage förderten. Er nannte sie googleDorks, frei übersetzt etwa “Google-Trottel”, gemeint waren die Betreiber, nicht die Suchenden. Aus der Liste wurde 2004 die Google Hacking Database, und seit 2010 pflegt die Sicherheitsfirma OffSec sie als Teil der Exploit-DB weiter. Dort stehen heute tausende solcher Anfragen, sortiert nach Kategorien.

Diese Sammlung zeigt vor allem eins: Die Schwachstelle liegt fast nie bei Google. Die Suchmaschine liest, was ein Server ohne Passwort herausgibt, und merkt es sich. Wer eine Tabelle mit Kundendaten in einen öffentlichen Ordner legt, hat sie veröffentlicht, auch wenn er das nie vorhatte. Google macht diese Veröffentlichung nur auffindbar.

Die wichtigsten Operatoren

Man braucht nicht viele. Eine Handvoll deckt fast alles ab, was für einen Selbstcheck nützlich ist, und alle funktionieren nach demselben Muster: Befehl, Doppelpunkt, Begriff, ohne Leerzeichen dazwischen. site:beispiel.de funktioniert, site: beispiel.de nicht.

Die Anführungszeichen sind der unterschätzteste Befehl. Ohne sie sucht Google nach Max und nach Mustermann, irgendwo auf der Seite, gern auch nach ähnlichen Wörtern. Mit ihnen muss genau diese Folge vorkommen. Das Minuszeichen räumt danach auf: Wer einen Namensvetter hat, der Fußball spielt, schließt den Sport einfach aus.

Mit site: wird es interessant. Die Suche site:beispiel.de listet, was Google von einer Domain im Index hat. Google selbst weist in seiner Dokumentation darauf hin, dass diese Liste nicht vollständig ist und ohne weiteren Suchbegriff eher zufällig sortiert. Für einen ersten Eindruck reicht sie trotzdem. Kombiniert mit filetype:pdf, filetype:xlsx oder filetype:docx zeigt sie die Dokumente, die auf einer Website liegen, und genau da wird es für viele Betreiber unangenehm.

intitle: und inurl: sind feinere Werkzeuge. Sie suchen nicht im Text, sondern im Titel einer Seite oder in ihrer Adresse. Ordner mit Namen wie “intern”, “archiv” oder “upload” tauchen so auf, obwohl sie nirgends verlinkt sind, sofern Google sie irgendwann einmal gefunden hat.

Ein Befehl fehlt in älteren Anleitungen nie und funktioniert trotzdem nicht mehr. Mit cache: konnte man früher Googles gespeicherte Kopie einer Seite aufrufen, auch wenn das Original schon gelöscht war. Im Februar 2024 bestätigte Googles Suchbeauftragter Danny Sullivan, dass die Funktion eingestellt ist.

Der Damm in Rye

Wie weit eine Suche reichen kann, zeigt ein Fall aus dem Jahr 2013. Am Blind Brook in Rye, einem Vorort nördlich von New York City, steht der Bowman Avenue Dam. Laut dem New Yorker ist er gut sechs Meter hoch und knapp 40 Meter lang, er liegt im Wald, eine Straße weiter steht eine Schule. Im Juni 2013 hatte die Stadt ein neues Schleusentor für rund zwei Millionen Dollar feierlich eingeweiht, es sollte eine Nachbarschaft vor Hochwasser schützen.

Zwischen dem 28. August und dem 18. September 2013 verschaffte sich laut US-Justizministerium ein Iraner namens Hamid Firoozi mehrfach Zugang zum Steuerungssystem des Damms. Er konnte Wasserstand, Wassertemperatur und den Zustand des Schleusentors ablesen. Steuern konnte er es nicht, denn das Tor war zu dieser Zeit wegen Wartungsarbeiten von Hand abgeklemmt.

Öffentlich wurde das am 24. März 2016. Das Justizministerium stellte in New York eine Anklage gegen sieben Iraner vor, die für Firmen mit Verbindung zu den Revolutionsgarden gearbeitet haben sollen. Der Hauptvorwurf betraf Angriffe auf 46 Banken und Finanzunternehmen. Der Damm war ein Nebenschauplatz, bekam aber die meiste Aufmerksamkeit.

Wenige Tage später berichtete das Wall Street Journal unter Berufung auf Personen aus dem Umfeld der Ermittlungen, wie Firoozi auf den Damm gestoßen sein soll: per Google Dorking. Er habe über Monate mit gezielten Suchanfragen nach schlecht geschützter Technik an Infrastruktur-Standorten gesucht und sei dabei auf den Rechner in Rye gestolpert. Der Stadtverwaltung war das offenbar ein Rätsel. Eine Theorie lautete, er habe den kleinen Damm mit dem viel größeren Arthur R. Bowman Dam in Oregon verwechselt. Der Stadtmanager von Rye sagte dem New Yorker, er glaube, die Angreifer hätten einfach gefischt. Sie seien ein paar Mal drin gewesen, hätten sich umgesehen und seien nie wiedergekommen.

Firoozi steht bis heute auf der Fahndungsliste des FBI, er wird im Iran vermutet. Was von dem Fall bleibt, ist weniger der Angriff selbst als die Art, wie er begann. Niemand hat den Damm gezielt ausgewählt. Er war einfach auffindbar.

Fehler, die Google nur sichtbar macht

Schon im Juli 2014 hatten das Heimatschutzministerium, das FBI und das Anti-Terror-Zentrum der USA ein internes Bulletin an Polizei und Sicherheitsbehörden verschickt. Es hieß “Malicious Cyber Actors Use Advanced Search Techniques” und warnte, dass sich über Dateitypen und Stichwörter Benutzernamen, Passwörter, E-Mail-Listen und vertrauliche Dokumente finden lassen. Die Empfehlung lief im Kern darauf hinaus, die eigenen Websites zu prüfen.

Wie das in der Praxis aussieht, zeigt ein Fall aus demselben Umfeld. 2013 stieß ein Reporter von Scripps News nach eigener Aussage bei einer Google-Suche auf Anträge für ein staatlich gefördertes Handyprogramm für Menschen mit geringem Einkommen. Die Unterlagen lagen offen auf einem Server, mit Sozialversicherungsnummern, Führerscheinkopien und Adressen. Die beiden zuständigen Telefonfirmen, TerraCom und YourTel, reagierten zunächst mit einem Anwaltsbrief und nannten die Reporter Hacker, weil sie die Dateien mit einem Download-Programm heruntergeladen hätten.

Die Aufsichtsbehörde FCC sah das anders. Im Oktober 2014 kündigte sie eine Strafe von zehn Millionen Dollar an, weil die Firmen die Daten von bis zu 305.000 Menschen ungeschützt ins Netz gestellt hätten. Im Juli 2015 einigten sich die Firmen mit der Behörde auf 3,5 Millionen Dollar. Die Suchmaschine hatte in diesem Fall niemandem geschadet. Sie hatte nur gezeigt, was schon seit Monaten offen lag.

Dass es nicht nur Google betrifft, zeigte sich im Juli 2018 in Russland. Am Abend des 4. Juli bemerkten Nutzer, dass die Suchmaschine Yandex Google-Docs- Dokumente in ihren Ergebnissen zeigte, darunter Tabellen mit Passwörtern, Kreditkartennummern und Firmeninterna. Das Nachrichtenportal Meduza beschrieb, wie die Dokumente dorthin kamen: Ihre Besitzer hatten sie per Link freigegeben, und irgendwo tauchten diese Links auf. Yandex betonte, man indexiere nur den offenen Teil des Netzes, und nahm die Treffer binnen Stunden heraus. Die Freigabe per Link wirkte privat, war es aber nicht.

Google Dorks als Selbstcheck

Genau hier kippt die Perspektive. Wer einmal verstanden hat, wie Google Dorks funktionieren, hat ein ziemlich gutes Werkzeug, um die eigene Spur im Netz zu prüfen. Die Suchen, mit denen andere nach offenen Türen suchen, zeigen dir, ob deine offen stehen. Wie solche Suchen in eine größere Recherche passen, erklärt unser Überblick Was ist OSINT.

Beginne mit dir selbst, abgemeldet oder im privaten Fenster, damit Google dir nicht deine eigene Filterblase zeigt. "Max Mustermann" in Anführungszeichen, dann mit Wohnort, Arbeitgeber oder Verein dahinter. Eine ausführliche Anleitung für diese Namenssuche, samt Varianten und öffentlicher Verzeichnisse, steht in unserem Text über Personensuche aus der Gegenrichtung.

Danach kommen die Dateien. "Max Mustermann" filetype:pdf findet Sitzungsprotokolle, Teilnehmerlisten von Läufen, Ergebnislisten von Turnieren, Gemeinderatsvorlagen und alte Festschriften. Vieles davon ist harmlos. Manches enthält eine Adresse, ein Geburtsdatum oder eine Telefonnummer, die du dort nie vermutet hättest. Dasselbe gilt für filetype:xlsx und filetype:docx, nur seltener.

Wer eine Website betreibt, für die Firma, den Verein oder die Praxis, sollte einmal site:beispiel.de filetype:pdf eingeben und die Liste in Ruhe durchgehen. Klassiker sind Mitgliederlisten im Download-Bereich, Preislisten mit internen Rabatten, alte Newsletter mit sichtbaren Empfängern und Vorstandsprotokolle, die eigentlich nur für die Versammlung gedacht waren. Mit site:beispiel.de inurl:upload oder inurl:intern findest du Ordner, deren Namen schon sagen, dass sie nicht in die Suche gehören.

Eine Grenze gehört zur Ehrlichkeit dazu. Die Suche nach der eigenen Website oder dem eigenen Namen ist unproblematisch. Wer über eine solche Suche auf fremde Zugangsdaten oder ein fremdes Steuerungssystem stößt, sollte dort aufhören und den Betreiber informieren, denn wer sie benutzt, kann sich in Deutschland nach § 202a StGB strafbar machen.

Wie etwas wieder aus Google verschwindet

Ein Fund ist erst der Anfang. Was danach passiert, hängt davon ab, wem die Seite gehört.

Liegt die Datei auf deiner eigenen Website, ist es am einfachsten. Du löschst sie oder schützt den Ordner mit einem Passwort. Dann meldest du die Adresse in der Google Search Console zur Entfernung an, damit sie schneller aus den Ergebnissen fällt. Ohne diesen Schritt kann es dauern, bis Google bei seinem nächsten Besuch merkt, dass die Datei weg ist.

Viele Betreiber setzen an dieser Stelle auf die Datei robots.txt, eine Art Hausordnung für Suchmaschinen, die bestimmte Bereiche vom Durchsuchen ausnimmt. Google selbst warnt davor, sich darauf zu verlassen. Laut der offiziellen Dokumentation dient robots.txt vor allem dazu, den Server nicht zu überlasten, und ist ausdrücklich kein Mittel, um eine Seite aus Google herauszuhalten. Eine gesperrte Adresse kann trotzdem in den Ergebnissen auftauchen, nur ohne Beschreibung, wenn andere Seiten auf sie verlinken. Dazu kommt ein Nebeneffekt: Die robots.txt ist für jeden lesbar, und eine Zeile wie “bitte nicht in /intern schauen” ist für Neugierige eher eine Wegbeschreibung.

Zuverlässiger ist die Anweisung noindex. Sie steht im Kopf einer Seite oder wird vom Server mitgeschickt und sagt der Suchmaschine: Diese Seite darfst du lesen, aber nicht in die Ergebnisse aufnehmen. Für wirklich vertrauliche Inhalte gilt trotzdem, was schon für den Damm in Rye gegolten hätte: Was nicht öffentlich sein soll, gehört hinter ein Passwort.

Schwieriger ist es, wenn die Seite jemand anderem gehört. Dann gibt es zwei Wege. Der erste führt über den Betreiber: Wer eine Vereinsliste mit deiner Adresse online stellt, lässt sich meist mit einer freundlichen Mail zum Löschen bewegen, und die DSGVO gibt dir mit dem Recht auf Löschung ein Argument, falls die Freundlichkeit nicht reicht.

Der zweite Weg führt direkt zu Google. Seit einem Urteil des Europäischen Gerichtshofs vom 13. Mai 2014 können Menschen in der EU verlangen, dass Suchmaschinen bestimmte Ergebnisse zu ihrem Namen auslisten, auch wenn die Seite selbst bestehen bleibt. Google bietet dafür ein Formular an. Dazu kommt die Funktion “Suchergebnisse über dich” im Google-Konto. Du gibst dort deinen Namen, deine Adresse, Telefonnummer und E-Mail-Adresse ein, Google sucht regelmäßig nach Treffern und meldet sich, wenn neue auftauchen. Für einzelne Ergebnisse lässt sich die Entfernung direkt beantragen. Ausnahmen macht Google bei Seiten, die es als öffentliches Interesse einstuft, etwa von Behörden, Hochschulen, Zeitungen oder Unternehmen. Was Google darüber hinaus selbst über dich speichert, ist eine eigene Frage, der wir einen eigenen Text über dein Google-Profil gewidmet haben.

Eines können all diese Wege nicht: die Datei aus der Welt schaffen. Eine Auslistung entfernt den Treffer aus Google, die Seite bleibt erreichbar, und andere Suchmaschinen haben eigene Regeln. Wirklich weg ist eine Datei erst, wenn sie auf dem Server gelöscht ist. Und selbst dann kann eine Kopie in der Wayback Machine liegen.

Was bleibt

Google Dorks klingen nach Hackerwerkzeug und sind im Grunde nur eine genaue Art zu fragen. Die Suchmaschine kennt keinen Unterschied zwischen einer Person, die nach offenen Türen sucht, und einer, die ihre eigenen schließen will. Beide bekommen dieselben Treffer.

Der Damm in Rye, die Anträge auf dem Server von TerraCom, die Google-Docs in der russischen Suchmaschine: In keinem dieser Fälle hat die Suche etwas aufgebrochen. Sie hat gezeigt, was schon offen lag, oft seit Monaten. Wer die paar Befehle einmal auf sich selbst anwendet, auf den eigenen Namen, die eigene Domain, den Verein, in dem er im Vorstand sitzt, erfährt in einer halben Stunde mehr über seine Spur im Netz als durch jede Einstellung im Konto. Meistens ist das Ergebnis beruhigend. Manchmal findet man eine Liste, die man lieber vor einem Fremden gefunden hat.

Häufige Fragen

Was sind Google Dorks?

Google Dorks sind Suchanfragen, die mit besonderen Befehlen arbeiten, den sogenannten Suchoperatoren. Statt nur Wörter einzutippen, sagst du Google zum Beispiel, dass es nur auf einer bestimmten Website suchen soll (site:), nur nach PDF-Dateien (filetype:pdf) oder nur nach Seiten, deren Titel ein bestimmtes Wort enthält (intitle:). Der Name stammt aus der Sicherheitsszene, wo solche Anfragen seit Anfang der 2000er gesammelt werden. Technisch ist daran nichts Geheimes, Google dokumentiert die meisten Operatoren selbst in seiner Hilfe.

Ist Google Dorking legal?

Die Suche selbst ist legal, du benutzt eine öffentliche Suchmaschine mit ihren eigenen Funktionen. Entscheidend ist, was danach passiert. Wer über eine Suche auf Zugangsdaten, fremde Kundendaten oder ein ungeschütztes Steuerungssystem stößt und diese Informationen benutzt, um sich Zugang zu verschaffen, bewegt sich schnell im Bereich von Paragrafen wie § 202a StGB. Für den Blick auf die eigene Website, den eigenen Namen oder den eigenen Verein gibt es diese Frage nicht.

Welche Google-Suchbefehle gibt es?

Die wichtigsten sind Anführungszeichen für eine exakte Wortfolge, das Minuszeichen zum Ausschließen eines Begriffs, site: für eine bestimmte Domain, filetype: für einen Dateityp, intitle: für Wörter im Seitentitel und inurl: für Wörter in der Adresse. Dazu kommen before: und after:, mit denen du nach Datum eingrenzen kannst. Die Befehle lassen sich kombinieren, wichtig ist nur, dass zwischen Doppelpunkt und Suchbegriff kein Leerzeichen steht.

Wie finde ich heraus, was Google über mich zeigt?

Such deinen Namen in Anführungszeichen, am besten abgemeldet oder im privaten Fenster, und kombiniere ihn mit Wohnort, Arbeitgeber oder Verein. Danach lohnt sich die Suche mit filetype:pdf, weil Protokolle, Teilnehmerlisten und Ergebnislisten oft als PDF im Netz stehen. Zusätzlich bietet Google im Konto die Funktion "Suchergebnisse über dich", die nach deiner Adresse, Telefonnummer und E-Mail-Adresse sucht und dich bei neuen Treffern benachrichtigen kann.

Wie verhindere ich, dass Google eine Datei findet?

Am sichersten ist es, sie gar nicht erst öffentlich abzulegen oder den Ordner mit einem Passwort zu schützen. Für Seiten, die öffentlich bleiben, aber nicht in der Suche auftauchen sollen, gibt es die Anweisung noindex. Die Datei robots.txt reicht dafür nicht, Google schreibt selbst, dass sie kein Mittel ist, um eine Seite aus der Suche herauszuhalten. Liegt eine Datei schon im Index, kann der Betreiber der Website sie entfernen und über die Search Console die Löschung aus den Ergebnissen beschleunigen.